1. 为什么VLAN实验值得花时间深挖1.1 从一个真实翻车现场说起几年前带新人做网络实验有个小伙子在交换机上配完VLAN把PC接上去发现怎么都ping不通。他反复检查IP地址、子网掩码、网线折腾了快两个小时最后发现是交换机端口没划进对应的VLAN还挂在默认的VLAN 1里。这个问题听起来很基础但我在实际带教过程中见过太多次了——VLAN配置本身不难难的是理解它背后的转发逻辑和排错思路。计算机网络实验里VLANVirtual Local Area Network虚拟局域网这个实验几乎是每个网络方向学生的必修课。它的核心价值在于让你在一台物理交换机上通过逻辑划分出多个互相隔离的广播域。说白了就是把一台24口交换机当成好几台独立的小交换机来用每个小交换机内部的设备可以互通不同小交换机之间默认不通。这个实验能解决什么问题最直接的就是广播域隔离。你想想一个机房里几十台设备如果都在同一个广播域随便一台机器发个ARP广播所有设备都得处理网络性能会被拖垮。VLAN就是用来切分这种广播域的。另外还有安全隔离和灵活组网的需求——财务部的设备跟研发部的设备没必要互通用VLAN隔开既安全又好管理。这个实验适合谁网络工程、计算机相关专业的学生刚入行的网络运维人员或者准备考网络方向认证的朋友。只要你需要跟交换机打交道VLAN就是绕不过去的基本功。我下面会从设计思路、核心原理、实操步骤到排错技巧完整地拆一遍尽量让零基础的朋友也能跟着做下来。1.2 实验环境与工具选型做VLAN实验环境搭建有两种主流方案真实设备和模拟器。我两种都用过各有优劣下面说说我的选型建议。真实设备方案就是找一台支持VLAN的交换机比如常见的二层可管理交换机配上几台PC或者笔记本。优点是手感真实能看到端口指示灯闪烁能体验真实的线缆插拔。缺点也很明显设备成本高一台支持802.1Q的交换机少说几百块而且实验灵活性差改个拓扑就得重新插线。模拟器方案就灵活多了。市面上常用的网络模拟工具有几类一类是纯软件模拟交换机路由器的比如GNS3、EVE-NG另一类是厂商自己出的模拟器比如华为的eNSP、思科的Packet Tracer。这些工具都能完整模拟VLAN的配置和转发过程而且支持抓包分析。注意选择模拟器时要注意它是否支持完整的802.1Q协议和Trunk功能。有些轻量级模拟器对VLAN的支持不完整做Trunk实验时会出现莫名其妙的问题。我个人的建议是初学阶段用模拟器快速验证配置逻辑进阶阶段用真实设备感受物理层的细节。如果你手头只有一台电脑那就装个模拟器完全够用。下面我的实操演示会以通用命令为主不同厂商的语法略有差异但核心逻辑是一致的。2. VLAN核心原理拆解与关键概念2.1 VLAN到底是怎么隔离广播域的要理解VLAN先得理解广播域这个概念。一个广播域就是一台设备发广播帧时能收到这个帧的所有设备的集合。在没有VLAN的传统交换机上所有端口默认属于同一个广播域任何一台设备发的广播其他所有设备都能收到。VLAN的做法是在交换机内部维护一张表记录每个端口属于哪个VLAN。当交换机收到一个广播帧时它只把这个帧转发给同一VLAN内的其他端口不同VLAN的端口收不到。这就实现了广播域的隔离。这里有个关键点很多人容易忽略VLAN的隔离是二层隔离。什么意思就是不同VLAN之间的设备在数据链路层是完全隔离的它们之间的通信必须经过三层设备路由器或三层交换机来转发。这跟用物理交换机分开是一样的效果只不过VLAN是在一台设备内部用逻辑实现的。打个比方一台物理交换机就像一栋大楼VLAN就是把大楼内部分成若干个独立的房间。房间之间的墙是逻辑墙不是物理墙但隔离效果是一样的。你在A房间喊一嗓子B房间的人听不到。2.2 Access口、Trunk口和Hybrid口的区别交换机端口在VLAN环境中有几种工作模式这是实验的核心考点也是实际配置中最容易搞混的地方。Access口是最简单的模式。它只属于一个VLAN通常用来连接终端设备PC、打印机、服务器。当PC发送一个不带VLAN标签的普通以太网帧进入Access口时交换机会给它打上该端口所属VLAN的标签然后在交换机内部转发。当帧从另一个Access口出去时交换机会把标签剥掉变成普通帧发给终端。终端设备完全感知不到VLAN的存在。Trunk口用来连接交换机与交换机或者交换机与路由器。它需要同时传输多个VLAN的流量所以帧在Trunk链路上会带着VLAN标签802.1Q标签传输。Trunk口有一个Native VLAN默认VLAN的概念属于Native VLAN的帧在Trunk链路上不打标签其他VLAN的帧都打标签。这个设计是为了兼容不支持VLAN的老设备。Hybrid口是某些厂商比如华为特有的模式它可以灵活配置哪些VLAN的帧打标签、哪些不打标签。它兼具Access和Trunk的部分特性实际项目中用得不多但考试里经常出现。端口类型所属VLAN数量是否打标签典型用途Access1个入向打标签出向剥标签连接PC、服务器Trunk多个除Native VLAN外都打标签交换机互联Hybrid多个可灵活配置特殊场景2.3 802.1Q标签的格式与作用802.1Q是VLAN的标准协议它在以太网帧的源MAC地址和类型字段之间插入了一个4字节的标签。这个标签包含几个关键字段TPIDTag Protocol Identifier2字节固定值0x8100用来标识这是一个带标签的帧。PCPPriority Code Point3位用于QoS优先级做VLAN实验时一般不管它。DEIDrop Eligible Indicator1位也很少用到。VIDVLAN Identifier12位这就是VLAN ID取值范围0到4095其中0和4095保留实际可用的是1到4094。12位能表示4096个VLAN但实际可用的只有4094个。这个数量对于大多数场景足够了不过大型数据中心可能会觉得不够用所以后来才有了QinQ双层标签等技术来扩展。提示VLAN 1是默认VLAN所有端口默认都在VLAN 1里。实际项目中建议不要用VLAN 1承载业务流量因为它的安全性较差而且很多协议默认走VLAN 1容易造成混乱。3. 实操过程从零配置一个完整的VLAN实验3.1 实验拓扑设计与IP规划先说一下我要搭的拓扑。这个拓扑不复杂但能覆盖VLAN实验的核心知识点两台交换机分别叫SW1和SW2。SW1上连接两台PCPC1和PC2。SW2上连接两台PCPC3和PC4。SW1和SW2之间用一条链路互联配置为Trunk。规划两个VLANVLAN 10对应部门A和VLAN 20对应部门B。PC1和PC3属于VLAN 10PC2和PC4属于VLAN 20。目标同VLAN的设备能互通不同VLAN的设备不能互通。IP地址规划如下设备所属VLANIP地址子网掩码PC1VLAN 10192.168.10.1255.255.255.0PC3VLAN 10192.168.10.2255.255.255.0PC2VLAN 20192.168.20.1255.255.255.0PC4VLAN 20192.168.20.2255.255.255.0这个规划的逻辑是不同VLAN用不同网段这样即使三层互通了也能通过网段区分。同VLAN同网段方便验证二层连通性。3.2 交换机基础配置与VLAN创建先登录交换机。模拟器里一般通过Console口或者Telnet登录真实设备也是类似。登录后进入命令行界面通常是用户视图提示符类似Switch。第一步是进入系统视图创建VLAN。不同厂商命令略有差异但逻辑一样。以通用风格为例# 进入系统视图 system-view # 创建VLAN 10和VLAN 20 vlan 10 vlan 20 # 查看VLAN是否创建成功 display vlan创建完VLAN后用display vlan应该能看到VLAN 10和VLAN 20都存在但此时还没有任何端口加入它们。注意有些交换机默认会创建一堆保留VLAN看到VLAN 1是默认存在的不用管它。你只需要确认自己创建的VLAN 10和20在列表里就行。接下来配置端口。SW1上连接PC1的端口假设是G0/0/1连接PC2的是G0/0/2连接SW2的端口是G0/0/24。# 配置G0/0/1为Access口划入VLAN 10 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit # 配置G0/0/2为Access口划入VLAN 20 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit # 配置G0/0/24为Trunk口允许VLAN 10和20通过 interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quitSW2的配置类似只是端口编号可能不同。假设SW2上PC3接G0/0/1PC4接G0/0/2连SW1的端口是G0/0/24# SW2上的配置 vlan 10 vlan 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 quit interface GigabitEthernet0/0/2 port link-type access port default vlan 20 quit interface GigabitEthernet0/0/24 port link-type trunk port trunk allow-pass vlan 10 20 quit这里有个关键点Trunk口必须显式允许需要通过的VLAN。有些厂商默认允许所有VLAN通过有些默认只允许VLAN 1。如果你不配置allow-passVLAN 10和20的流量可能过不去。我踩过这个坑当时以为Trunk配好了就行结果忘了放行VLANping了半天不通。3.3 验证连通性与抓包分析配置完成后先给PC配好IP地址。然后在PC1上ping PC3同VLAN 10应该能通。在PC1上ping PC2不同VLAN应该不通。# PC1上执行 ping 192.168.10.2 # 应该通 ping 192.168.20.1 # 应该不通如果结果符合预期说明VLAN隔离生效了。但光看ping的结果还不够最好抓个包看看802.1Q标签到底长什么样。在SW1和SW2之间的Trunk链路上抓包你会看到VLAN 10和VLAN 20的帧都带着802.1Q标签标签里的VID字段分别是10和20。而在Access口上抓包帧是不带标签的普通以太网帧。这个抓包分析很重要它能让你直观地看到VLAN标签在Trunk链路上的存在以及它在Access口被剥离的过程。很多同学配完了能ping通就结束了但其实抓一次包你对VLAN的理解会深一个层次。提示抓包时注意选择正确的接口。在模拟器里一般可以直接在链路上抓真实环境中可能需要配置端口镜像才能抓到其他端口的流量。3.4 跨VLAN通信三层互通的实现思路VLAN隔离是默认行为但实际项目中经常需要不同VLAN之间互通。比如VLAN 10的PC要访问VLAN 20的服务器。这时候就需要三层转发。实现跨VLAN通信有两种主流方案方案一单臂路由。用一台路由器通过一个物理接口配置多个子接口每个子接口对应一个VLAN作为该VLAN的网关。路由器收到VLAN 10的帧后发现目的IP在VLAN 20网段就通过VLAN 20的子接口转发出去。这个方案的优点是节省物理接口缺点是所有跨VLAN流量都走同一条物理链路容易成为瓶颈。方案二三层交换机。在三层交换机上配置SVISwitch Virtual Interface每个VLAN对应一个SVI配上网关IP。三层交换机内部通过硬件转发性能比单臂路由高得多。这是目前企业网的主流方案。以三层交换机为例配置大概是这样的# 在三层交换机上启用IP路由 ip routing # 配置VLAN 10的SVI interface Vlanif10 ip address 192.168.10.254 255.255.255.0 quit # 配置VLAN 20的SVI interface Vlanif20 ip address 192.168.20.254 255.255.255.0 quit然后把PC的网关分别指向对应的SVI地址跨VLAN就能通了。这个实验可以在基础VLAN实验做完之后作为进阶内容来练。4. 常见问题与排错技巧实录4.1 VLAN配置后ping不通的排查思路这是最常见的问题我按排查顺序列一下第一步检查端口VLAN划分。用display vlan查看VLAN里有没有包含预期的端口。很多时候是端口忘了划进VLAN或者划错了VLAN号。第二步检查Trunk口放行。用display interface GigabitEthernet0/0/24查看Trunk口的配置确认allow-pass里包含了需要的VLAN。如果Trunk口没放行某个VLAN该VLAN的流量过不去。第三步检查Native VLAN一致性。Trunk两端的Native VLAN必须一致否则会出现VLAN跳变或者流量丢失。默认都是VLAN 1但如果你改过一端另一端也要改。第四步检查PC的IP和网关。同VLAN内ping不通先确认IP在同一网段子网掩码一致。跨VLAN ping不通确认网关配了没有网关地址对不对。第五步检查物理链路。模拟器里检查链路状态是不是up真实设备检查端口指示灯和线缆。故障现象可能原因排查命令同VLAN不通端口未划入VLANdisplay vlan跨交换机同VLAN不通Trunk未放行VLANdisplay interface跨VLAN不通未配置三层网关display ip routing-table时通时不通Native VLAN不一致display interface trunk4.2 Trunk链路上的常见坑Trunk配置有几个容易翻车的地方我一个个说。坑一两端Trunk模式不匹配。一端配了Trunk另一端还是Access链路肯定不通。有些厂商的端口默认是Access模式需要手动改成Trunk。坑二Native VLAN不匹配。一端Native VLAN是1另一端改成了100会导致VLAN 1的流量在另一端被当成VLAN 100处理造成混乱。实际项目中建议两端Native VLAN保持一致并且不要用VLAN 1。坑三allow-pass漏配。这个前面提过了Trunk口需要显式放行VLAN。有些厂商默认放行所有VLAN有些默认只放行VLAN 1。配置前先确认设备的默认行为。坑四Trunk链路上出现了不该出现的VLAN。如果allow-pass配了all所有VLAN的流量都会通过Trunk包括一些不需要的VLAN。这不仅浪费带宽还有安全隐患。建议只放行需要的VLAN。提示配置Trunk时养成好习惯先配port link-type trunk再配port trunk allow-pass vlan最后检查一遍。顺序反了在某些设备上会报错。4.3 模拟器与真实设备的差异用模拟器做实验和用真实设备有几个差异提前知道能少走弯路。差异一命令语法。不同厂商、不同型号的交换机命令不一样。华为、思科、H3C各有各的语法。模拟器通常模拟某个特定厂商真实设备可能又是另一个厂商。建议先确认你用的设备是什么品牌然后查对应的命令手册。差异二默认行为。模拟器里端口的默认模式、默认VLAN可能和真实设备不同。比如有些模拟器端口默认就是Trunk真实设备默认是Access。配置前先用display命令查看当前状态。差异三性能表现。模拟器不涉及硬件转发所有转发都是软件模拟的所以延迟、丢包等指标跟真实设备完全不同。做功能验证没问题做性能测试就不靠谱了。差异四抓包方式。模拟器里抓包很方便直接选链路就行。真实设备需要配置端口镜像把流量复制到一个监控端口然后用抓包工具连接那个端口。端口镜像的配置本身也是个知识点。4.4 实验后的清理与恢复实验做完后建议把配置清理掉方便下次实验。清理命令一般是# 清除VLAN配置 undo vlan 10 undo vlan 20 # 恢复端口默认配置 interface GigabitEthernet0/0/1 undo port default vlan undo port link-type quit真实设备上如果配置比较多可以直接恢复出厂设置。但注意恢复出厂会清掉所有配置包括管理IP操作前确认你还能通过Console口登录。注意在共享的实验设备上做实验做完一定要清理配置。不然下一个同学上来发现端口被划到奇怪的VLAN里又要花时间排查。这是基本的实验素养。5. 进阶扩展VLAN在实际项目中的应用5.1 企业网中的VLAN规划原则实际企业网中VLAN规划不是随便划的一般遵循几个原则按部门划分。每个部门一个VLAN比如财务VLAN、人事VLAN、研发VLAN。这样部门之间的广播隔离了安全性也提高了。按楼层划分。大型办公楼里每层楼一个或几个VLAN方便按楼层管理网络。按设备类型划分。服务器、打印机、IP电话、无线AP各用不同的VLAN。不同类型的设备流量特征不同分开管理更灵活。预留扩展空间。VLAN ID不要连续用完留一些给未来扩展。比如VLAN 10到19给部门用VLAN 20到29给设备用VLAN 100以上给管理用。VLAN规划还要考虑IP网段的对应关系。一般一个VLAN对应一个子网方便路由汇总和管理。比如VLAN 10用192.168.10.0/24VLAN 20用192.168.20.0/24一看IP就知道属于哪个VLAN。5.2 VLAN与无线网络的结合无线网络里VLAN的应用也很广泛。一个无线AP可以广播多个SSID每个SSID映射到不同的VLAN。比如员工SSID映射到VLAN 10访客SSID映射到VLAN 100。这样员工和访客虽然连的是同一个AP但网络是完全隔离的。这个场景下AP的上联口需要配置为Trunk允许所有SSID对应的VLAN通过。AP本身会把不同SSID的流量打上不同的VLAN标签然后通过Trunk链路送到交换机。无线VLAN的配置比有线复杂一些因为涉及到AP的管理VLAN和业务VLAN的区分。管理VLAN用来管理AP本身业务VLAN用来传输用户流量。两者要分开避免用户流量影响AP管理。5.3 VLAN安全加固建议VLAN本身有一些安全风险实际项目中需要加固防止VLAN跳变攻击。攻击者可以通过伪造Trunk协商或者双层标签来绕过VLAN隔离。防护方法是把不需要Trunk的端口强制设为Access模式关闭DTP动态Trunk协议协商。限制Trunk口的VLAN范围。Trunk口只放行必要的VLAN不要用all。这样即使攻击者接入了Trunk口也只能访问放行的VLAN。使用私有VLAN。私有VLAN可以把同一个VLAN内的端口进一步隔离适合酒店、宿舍等场景。同一个私有VLAN内的用户互相不能通信只能跟上行端口通信。定期审计VLAN配置。检查有没有多余的VLAN、有没有端口划错了VLAN、Trunk口的放行列表是否合理。这些审计工作能及时发现配置错误和安全隐患。6. 我个人做VLAN实验的几个心得做了这么多次VLAN实验有几个心得分享给大家。先画图再配置。别急着敲命令先在纸上或者画图工具里把拓扑画出来标清楚每个端口连什么、属于哪个VLAN、Trunk怎么走。图画清楚了配置就是照着抄的事。我见过太多同学不画图直接配配到一半忘了哪个口是哪个又得重新查。配置前先看默认状态。用display命令看看端口的默认模式、默认VLAN、Trunk的默认放行列表。不同设备默认值不一样先摸清楚底细再动手能避免很多意外。抓包验证比ping更可靠。ping通了不代表配置完全正确可能只是碰巧通了。抓包能看到VLAN标签的实际存在和剥离过程能确认Trunk链路真的在传带标签的帧。这个验证方式比ping更有说服力。养成清理配置的习惯。实验做完清理配置不仅方便别人也方便自己下次做。而且清理的过程本身也是复习命令的过程。多厂商对比学习。华为、思科、H3C的VLAN配置逻辑一样但命令不同。学的时候可以对比着看理解哪些是协议规定的哪些是厂商实现的差异。这样换一个厂商的设备你也能快速上手。最后说一个我踩过的坑有一次做Trunk实验两端都配了Trunkallow-pass也配了但就是不通。查了半天发现是两端的Native VLAN不一致一端是1另一端被之前做实验的同学改成了100。Native VLAN不一致会导致VLAN 1的流量在Trunk上出问题虽然我传的是VLAN 10和20但控制协议报文走的是Native VLAN所以链路协商出了问题。这个坑让我记住了Trunk两端配置必须对称Native VLAN尤其要注意。